Na temelju članka. 7., članka 18. stavka 6. i članka 32. stavka 2. Zakona o elektroničkom potpisu ("Narodne novine", br. 10/02 i 80/08) ministar gospodarstva, rada i poduzetništva donosi

PRAVILNIK

O IZRADI ELEKTRONIČKOG POTPISA, UPORABI SREDSTVA ZA IZRADU ELEKTRONIČKOG POTPISA, OPĆIM I POSEBNIM UVJETIMA POSLOVANjA ZA DAVATELjE USLUGA IZDAVANjA VREMENSKOG ŽIGA I CERTIFIKATA

(Objavljeno u "Narodnim novinama", br. 107 od 13 rujna 2010, 89/13)

I. OPĆE ODREDBE

Članak 1.

(1) Ovim Pravilnikom utvrđuju se mjere, postupci i oblici zaštite elektroničkog potpisa, i naprednog elektroničkog potpisa, sredstava za izradu elektroničkog potpisa i naprednog elektroničkog potpisa, ugradnja vremenskog žiga i naprednog vremenskog žiga, obavljanje usluga izdavanja vremenskog žiga i naprednog vremenskog žiga, zaštite sustava za obavljanje usluga certificiranja i podataka o potpisnicima, postupci provjere identiteta potpisnika prilikom izdavanja elektroničkih certifikata kao i najniži iznos svote za koju se osigurava rizik od odgovornosti za štete koji se kod davatelja usluga certificiranja koji izdaju kvalificirane certifikate pojavljuje kao obvezno osiguranje.

Članak 2.

U smislu ovoga Pravilnika pojmovi imaju sljedeća značenja:
- certifikat - potvrda u elektroničkom obliku izdana od davatelja usluge izdavanja certifikata, koja povezuje podatke za verificiranje elektroničkog potpisa s nekom osobom i potvrđuje identitet te osobe;
- kvalificirani certifikat - potvrda u elektroničkom obliku izdana od davatelja usluge izdavanja kvalificiranih certifikata, koja udovoljava zahtjevima iz članka 11. Zakona o elektroničkom potpisu (u daljnjem tekstu: Zakon);
- potpisnik - osoba koja posjeduje sredstvo za izradu elektroničkog potpisa kojim se potpisuje, a koja djeluje u svoje ime ili u ime fizičke ili pravne osobe koju predstavlja;
- pouzdajuća strana - primatelj elektroničkog zapisa koji se pouzdaje u elektronički zapis potpisan elektroničkim potpisom ili naprednim elektroničkim potpisom;
- provjera elektroničkog potpisa i naprednog elektroničkog potpisa - postupak iniciran od pouzdajuće strane za provjeru valjanosti potpisa i certifikata potpisnika kod davatelja usluga certficiranja;
- vremenski žig - je elektronički potpisana potvrda izdavatelja koja potvrđuje sadržaj podataka na koje se odnosi u navedenom vremenu,
- napredan vremenski žig - je elektronički potpisana potvrda ovjerovitelja koja ispunjava uvjete za napredan elektronički potpis
- davatelj usluga izdavanja vremenskog žiga - pravna ili fizička osoba koja daje usluge izdavanja vremenskog žiga i/ili usluga certificiranja

Članak 3.

Davatelj usluga certificiranja koji izdaje certifikate i kvalificirane certifikate primjenjivat će informacijsku tehnologiju i tehnička i programska sredstva čije je djelovanje u skladu s Popisom normizacijskih dokumenata u području primjene Zakona o elektroničkom potpisu i Pravilnika o izradi elektroničkog potpisa, uporabi sredstva za izradu elektroničkog potpisa, općim i posebnim uvjetima poslovanja za davatelje usluga izdavanja vremenskog žiga i certifikata u poslovanju davatelja usluga certificiranja u Republici Hrvatskoj (u daljnjem tekstu: Popis normizacijskih dokumenata) objavljenim u "Narodnim novinama", a koje se odnose na:
- opća pravila davanja usluga certificiranja,
- obrazac (profil) certifikata,
- sigurnost kriptografskih modula (sredstava za izradu elektroničkog potpisa),
- sigurnost sustava certificiranja.

Članak 4.

Davatelj usluga izdavanja vremenskog žiga i naprednog vremenskog žiga za ugradnju u elektronički potpis i napredni elektronički potpis, primjenjivat će informacijsku tehnologiju i tehnička i programska sredstva čije je djelovanje u skladu s normizacijskim dokumentima objavljenim u "Narodnim novinama" pod nazivom Popis normizacijskih dokumenata, a koje se odnose na:
- opća pravila davanja usluga izdavanja vremenskog žiga,
- obrazac (profil) certifikata za izradu vremenskog žiga,
- sigurnost kriptografskih modula (sredstava za izradu vremenskog žiga),
- sigurnost sustava za izdavanje vremenskog žiga.

II. ELEKTRONIČKI POTPIS

Izrada i korištenje elektroničkog potpisa i naprednog elektroničkog potpisa

Članak 5.

(1) Postupak izrade elektroničkog potpisa ne smije izmijeniti podatke koji se potpisuju niti spriječiti prikaz tih podataka potpisniku prije čina potpisivanja.
(2) Potpisnik u elektronički potpis ugrađuje osnovne podatke o postupku, algoritmu i sadržaju potpisa kako bi pouzdajuća strana mogla provjeriti potpis temeljem iste ili sukladne tehnologije i postupaka.
(3) Pravila uporabe potpisa sadrže opis postupka potpisivanja u čitljivom obliku s najmanje sljedećim skupom podataka:
- upozorenje - sadržaj pravnih i drugih činjenica povezanih s potpisivanjem, koji mora biti iskazan prije čina potpisivanja;
- izjava potpisnika - o prihvaćanju pravila uporabe potpisa i saznanju o sadržaju koji potpisuje;
- potpisni skup podataka - dio je elektroničkog potpisa i dodaje se potpisanom elektroničkom zapisu, a sadrži ime potpisnika, vrijeme i mjesto potpisivanja.
(4) U elektronički potpis se može ugraditi identifikator ili sažetak pravila uporabe potpisa.

Članak 6.

(1) Potpisnik izrađuje i koristi elektronički potpis i napredni elektronički potpis u skladu s uvjetima sadržanim u Zakonu i ovom Pravilniku.
(2) Podaci za izradu elektroničkog potpisa su logički povezani sa elektroničkim potpisom.
(3) Potpisnik je dužan zaštiti podatke za izradu elektroničkog potpisa od neovlaštenog pristupa, otuđivanja i nepravilne uporabe.
(4) Smatrat će se da struktura i sadržaj naprednog elektroničkog potpisa udovoljava propisanim zahtjevima ukoliko su primijenjeni odgovarajući normizacijski dokumenti čiji je popis objavljen u "Narodnim novinama" pod nazivom Popis normizacijskih dokumenata.

Članak 7.

(1) Potpisniku prije procesa uporabe elektroničkog potpisa moraju biti predstavljena pravila uporabe potpisa ukoliko su određena.
(2) Elektronički potpis koriste potpisnik i pouzdajuća strana u skladu s utvrđenim pravilima uporabe potpisa, ukoliko su određena.
(3) Potpisnik i pouzdajuća strana moraju koristiti ista pravila uporabe potpisa radi postizanja jednakog tumačenja valjanosti potpisa kod njegove izrade i provjere, ukoliko su ona određena.
(4) Korisnici elektroničkog potpisa u međusobnoj regulaciji odnosa u pogledu elektroničkog potpisa dužni su poštivati odredbe Zakona i ovoga Pravilnika.

Članak 8.

(1) Za potrebe strojnog, odnosno automatskog obrađivanja elektroničkog potpisa, ukoliko se koriste pravila uporabe potpisa, nužno ih je izraditi i u formatiranom obliku za potrebe izravnog preuzimanja od strane računalnih programa (aplikacija).
(2) Kod računalnih aplikacija koje koriste velik broj istorodnih dokumenata s jednim pravilom uporabe elektroničkog potpisa ili naprednog elektroničkog potpisa dopušteno je unaprijed definirati ugradnju tih pravila u elektronički potpis, napredni elektronički potpis ili u aplikaciju.

Provjera elektroničkog potpisa i naprednog elektroničkog potpisa

Članak 9.

(1) Pouzdajuća strana prilikom provjere elektroničkog potpisa i naprednog elektroničkog potpisa mora biti u mogućnosti kod davatelja usluga certificiranja provjeriti je li certifikat opozvan.
(2) Pouzdajuća strana prilikom provjere naprednog elektroničkog potpisa mora biti u mogućnosti provjeriti:
- podatke o potpisniku,
- podatke o davatelju usluga certificiranja koji izdaje certifikate i kvalificirane certifikate,
- rok valjanosti certifikata,
- opozvanost certifikata.

Ugradnja vremenskog žiga i naprednog vremenskog žiga u elektronički potpis

Članak 10.

(1) Ugradnju vremenskog žiga ili naprednog vremenskog žiga može pokrenuti potpisnik